数据库安全与我

1. 内容

   数据库安全包含两层含义：第一层是指系统运行安全，系统运行安全通常受到的威胁如下，一些网络不法分子通过网络，局域网等途径通过入侵电脑使系统无法正常启动，或超负荷让机子运行大量算法，并关闭cpu风扇，使cpu过热烧坏等破坏性活动； 第二层是指系统信息安全，系统安全通常受到的威胁如下，黑客对数据库入侵，并盗取想要的资料。数据库系统的安全特性主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等几个方面。

   数据库系统的安全特性[2]  主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等几个方面。下面分别对其进行介绍

数据独立性

数据独立性包括物理独立性和逻辑独立性两个方面。物理独立性是指用户的应用程序与存储在磁盘上的数据库中的数据是相互独立的；逻辑独立性是指用户的应用程序与数据库的逻辑结构是相互独立的。

数据安全性

操作系统中的对象一般情况下是文件，而数据库支持的应用要求更为精细。通常比较完整的数据库对数据安全性采取以下措施：

（1）将数据库中需要保护的部分与其他部分相隔。

（2）采用授权规则，如账户、口令和权限控制等访问控制方法。

（3）对数据进行加密后存储于数据库。

数据完整性

数据完整性包括数据的正确性、有效性和一致性。正确性是指数据的输入值与数据表对应域的类型一样；有效性是指数据库中的理论数值满足现实应用中对该数值段的约束；一致性是指不同用户使用的同一数据应该是一样的。保证数据的完整性，需要防止合法用户使用数据库时向数据库中加入不合语义的数据。

并发控制

如果数据库应用要实现多用户共享数据，就可能在同一时刻多个用户要存取数据，这种事件叫做并发事件。当一个用户取出数据进行修改，在修改存入数据库之前如有其它用户再取此数据，那么读出的数据就是不正确的。这时就需要对这种并发操作施行控制，排除和避免这种错误的发生，保证数据的正确性。

故障恢复

由数据库管理系统提供一套方法，可及时发现故障和修复故障，从而防止数据被破坏。数据库系统能尽快恢复数据库系统运行时出现的故障，可能是物理上或是逻辑上的错误。比如对系统的误操作造成的数据错误等。

数据库安全威胁

近两年，拖库现象频发，黑客盗取数据库的技术在不断提升。虽然数据库的防护能力也在提升，但相比黑客的手段来说，单纯的数据库防护还是心有余而力不足。数据库审计已经不是一种新兴的技术手段，但是却在数据库安全事件频发的今天给我们以新的启示。数据库受到的威胁大致有这么几种：

内部人员错误
　　数据库安全的一个潜在风险就是“非故意的授权用户攻击”和内部人员错误。这种安全事件类型的最常见表现包括：由于不慎而造成意外删除或泄漏，非故意的规避安全策略。在授权用户无意访问敏感数据并错误地修改或删除信息时，就会发生第一种风险。在用户为了备份或“将工作带回家”而作了非授权的备份时，就会发生第二种风险。虽然这并不是一种恶意行为，但很明显，它违反了公司的安全策略，并会造成数据存放到存储设备上，在该设备遭到恶意攻击时，就会导致非故意的安全事件。例如，笔记本电脑就能造成这种风险。

社交工程
　　由于攻击者使用的高级钓鱼技术，在合法用户不知不觉地将安全机密提供给攻击者时，就会发生大量的严重攻击。这些新型攻击的成功，意味着此趋势在 2012年继续。在这种情况下，用户会通过一个受到损害的网站或通过一个电子邮件响应将信息提供给看似合法的请求。应当通知雇员这种非法的请求，并教育他们不要做出响应。此外，企业还可以通过适时地检测可疑活动，来减轻成功的钓鱼攻击的影响。数据库活动监视和审计可以使这种攻击的影响最小化。

内部人员攻击

　　很多数据库攻击源自企业内部。当前的经济环境和有关的裁员方法都有可能引起雇员的不满，从而导致内部人员攻击的增加。这些内部人员受到贪欲或报复欲的驱使，且不受防火墙及入侵防御系统等的影响，容易给企业带来风险。

错误配置
　　黑客可以使用数据库的错误配置控制“肉机”访问点，借以绕过认证方法并访问敏感信息。这种配置缺陷成为攻击者借助特权提升发动某些攻击的主要手段。如果没有正确的重新设置数据库的默认配置，非特权用户就有可能访问未加密的文件，未打补丁的漏洞就有可能导致非授权用户访问敏感数据。

未打补丁的漏洞
　　如今攻击已经从公开的漏洞利用发展到更精细的方法，并敢于挑战传统的入侵检测机制。漏洞利用的脚本在数据库补丁发布的几小时内就可以被发到网上。当即就可以使用的漏洞利用代码，再加上几十天的补丁周期（在多数企业中如此），实质上几乎把数据库的大门完全打开了。

高级持续性威胁
　　之所以称其为高级持续性威胁，是因为实施这种威胁的是有组织的专业公司或政府机构，它们掌握了威胁数据库安全的大量技术和技巧，而且是“咬定青山不放松”“立根原在"金钱（有资金支持）"中”，“千磨万击还坚劲，任尔东西南北风”。这是一种正甚嚣尘上的风险：热衷于窃取数据的公司甚至外国政府专门窃取存储在数据库中的大量关键数据，不再满足于获得一些简单的数据。特别是一些个人的私密及金融信息，一旦失窃，这些数据记录就可以在信息黑市上销售或使用，并被其它政府机构操纵。鉴于数据库攻击涉及到成千上万甚至上百万的记录，所以其日益增长和普遍。通过锁定数据库漏洞并密切监视对关键数据存储的访问，数据库的专家们可以及时发现并阻止这些攻击。

对数据库的认识

刚开始接触这门课，有点摸不着头脑的感觉，不知道这是一门怎样的课程。单看名字有点牛的感觉，好像很深奥，说不清道不明。好在张老师在第一节课就举了大量例子，我才猛然发觉原来“数据库”这东西一直默默在我们身边付出着。其实单从字面意思来看，它的功能已经很显而易见了，“数据库”，不就是存放数据的仓库嘛。人的记忆力再好，终究无法做到将一个国家甚至是全世界人的银行账号或密码记住吧。中国有句老话早已经看清这一事实，所以才有了“好记性不如烂笔头”这一短小精辟不是哲理胜似哲理的至理名言。所以，当

数据库带着无限光环闪耀诞生的那一瞬间，即解放了千千万万在人间疯狂奔跑的笔杆子。 从长远来看，它像是一场革命，不仅让我们的生活更便利，更重要的是它拉动了经济、政治，以至军事的发展，具有跨时代的意义。如果不是它，今日我们取钱的速度恐怕就不是以秒来计算，而是以天来计算了。或者说近一点，那个大名鼎鼎的李彦宏还能不能这么早就发光发热了呢？

   如今沉浸在大学中的我们，说不定哪天也能搭上“数据库”这一条神奇的魔毯，闯出属于自己的一片天呢。当然，没有做不到，只有想不到，对吧？

再说，今天得以认识和学习这一神奇的力量，不也是一种幸福吗？